Czym jest socjotechnika?
Socjotechnika to sytuacja, w której cyberprzestępca uzyskuje dostęp, informacje lub zasoby, do których nie powinien mieć prawa, manipulując ludźmi, a nie technologią. Choć możesz sądzić, że najczęstszym sposobem włamania do systemu jest przełamanie zapory sieciowej lub użycie zaawansowanego algorytmu łamania haseł, w większości przypadków do naruszeń dochodzi w wyniku socjotechniki. Zamiast atakować bariery technologiczne, hakerzy „inżynierują” sposób manipulowania osobami w Państwa organizacji, zakładając, że to one stanowią największą słabość firmy w obszarze bezpieczeństwa. Osoby o złych zamiarach tworzą fikcyjną sytuację „społeczną” (zwykle problem, który haker sam wymyślił!) — stąd nazwa: socjotechnika. Mówiąc najprościej, socjotechnik wymyśla bardzo przekonującą historię, aby nakłonić Państwa do wykonania czegoś na jego rzecz lub do udzielenia mu dostępu do poufnych informacji.
Jak to działa?
Cyberprzestępcy stosują różnorodne techniki psychologiczne, aby zdobyć zaufanie, a następnie je zdradzić. Oto kilka z nich.Torowanie (priming)
Torowanie polega na tym, że socjotechnik nasyca rozmowę emocjami, aby przełamać lody i sprawiać wrażenie bardziej wiarygodnego. Dzięki temu ofiary chętniej odpowiadają na jego pytania. Może zacząć rozmowę od opowiedzenia, jak trudny był jego poranek, albo odtworzyć w tle nagranie biegających dzieci, a następnie udawać, że prosi je o ciszę, bo mama lub tata rozmawia przez telefon. Dzieci, prawda?Kadrowanie (framing)
Czy pamiętają Państwo telezakupy (dawne czasy, gdy oglądaliśmy 20-minutową reklamę OxiClean tylko dlatego, że uwielbialiśmy Billy’ego Maysa)? Nigdy nie podawano wprost ceny produktu. Zamiast tego mówiono: „Tylko 49,99 USD” albo „Sześć łatwych rat po 12,99 USD!”. To właśnie kadrowanie; informacja jest przedstawiana w sposób, który manipuluje tym, jak zostanie odebrana. Kwota 78 USD może wydawać się absurdalnie wysoka, ale sześć łatwych rat po 13 USD wygląda jak okazja. Cyberprzestępcy robią to samo; przedstawiają informacje lub prośby w sprytny sposób, aby wpłynąć na Państwa reakcję. Następnym razem, gdy otrzymają Państwo e-mail od nieznajomego, który nie jest w stanie wyżywić rodziny, jeśli nie prześlą mu Państwo karty podarunkowej iTunes, warto zadać sobie pytanie: „Czy gdyby po prostu wprost mnie o to poprosił, zgodziłbym się?”.Awersja do straty
Jeśli w szczytowym okresie popularności programu „Porządki z Marie Kondo” zabrali się Państwo za pozbywanie się rzeczy, by przekonać się, że nie potrafią Państwo rozstać się praktycznie z niczym, nie są Państwo sami. Ludzie wyjątkowo niechętnie rozstają się z tym, co posiadają. Socjotechnicy wykorzystują to, podsuwając potencjalnej ofierze wizję utraty czegoś — często pieniędzy — co zaburza jej osąd i zwiększa gotowość do współpracy lub ujawnienia danych osobowych.Efekt autorytetu
Ile czasu zajęło Państwu uświadomienie sobie, że rodzice nie zawsze mają rację? Ludzie mają skłonność do odruchowego ufania opiniom osób, które mają nad nimi władzę; znacznie częściej działają też wbrew własnemu interesowi, gdy poprosi ich o to osoba o autorytecie. Socjotechnicy często podszywają się pod osoby posiadające autorytet, na przykład członków kadry zarządzającej, aby zniechęcić potencjalne ofiary do dokładnego sprawdzania ich próśb.Efekt znajomości
Siedzą Państwo w barze i zamawiają napój, a kelnerka pyta, czy wolą Państwo Coca-Colę, czy Dacey Fizz. Co Państwo wybiorą? Colę, prawda? W obliczu wyboru ludzie znacznie częściej wybierają (i darzą zaufaniem) opcję, którą znają najlepiej. Socjotechnicy mogą to wykorzystać, przedstawiając kilka możliwych sposobów postępowania i licząc na to, że wybiorą Państwo ten najbardziej znajomy — ten, który chcą, aby Państwo wybrali.
Jakie są przykłady?
Choć możesz sądzić, że najczęstszym sposobem włamania do systemu jest przełamanie zapory sieciowej lub użycie zaawansowanego algorytmu łamania haseł, w większości przypadków do naruszeń dochodzi w wyniku socjotechniki.Phishing
Phishing jest zdecydowanie najczęstszą formą socjotechniki, a najpopularniejszym jego rodzajem są oszustwa e-mailowe. Takie wiadomości nakłaniają do ujawnienia prywatnych informacji, kliknięcia linku lub otwarcia załącznika, który infekuje urządzenie złośliwym oprogramowaniem. O phishingu opowiemy więcej w przyszłym miesiącu. Smishing i vishing to odmiany phishingu realizowane odpowiednio za pomocą wiadomości tekstowych i połączeń głosowych. Przestępcy mogą sprawić, aby identyfikator rozmówcy wyświetlał dowolną wybraną przez nich nazwę, dzięki czemu mogą podszywać się pod osobę, której ufamy, i twierdzić, że mają nowy numer lub potrzebują naszej pomocy. PRZYKŁAD: Otrzymują Państwo „pilną” wiadomość głosową od Janet z innego oddziału, która mówi, że jej baza danych nie działa i potrzebuje jak najszybciej informacji o koncie konkretnego klienta. Oddzwaniając do „Janet”, przekazują Państwo dane osobowe oszustowi, który wykorzystuje je do przejęcia konta bankowego wspomnianego klienta.Naruszenia fizyczne
Socjotechnicy czasem podszywają się pod pracowników lub osoby budzące zaufanie, takie jak dostawcy, aby dostać się do budynku, a następnie — gdy zostaną w środku bez nadzoru — przejmują kontrolę nad komputerami lub przeszukują prywatne dokumenty. PRZYKŁAD: Osoba w mundurze listonosza podchodzi do Państwa od tyłu, balansując stosem paczek. Uprzejmie przytrzymują jej Państwo drzwi, wchodząc do biura, ale okazuje się, że „listonosz” był przebranym cyberprzestępcą. Co jest w paczkach? Urządzenia do włamań, które podłącza do firmowych komputerów i serwerów, aby przejąć kontrolę nad Państwa siecią.Wiedza to potęga!
Socjotechnicy są mistrzami manipulacji, ale nie potrafią kontrolować umysłów. Owszem, hakerzy będą próbować Państwa oszukać, ale to w Państwa rękach leży moc skuteczniejszej ochrony organizacji. Poznając techniki socjotechniczne, zdobywają Państwo wiedzę potrzebną do rozpoznawania osób o złych zamiarach. Mogą Państwo być dumni ze swojego wpływu — podzielcie się nowo zdobytą wiedzą ze współpracownikami (i bliskimi), aby wszyscy mogli czuć się bezpiecznie.